Curalbum

Datenschutzerklärung

Stand: 31. Juli 2026

Die deutsche Fassung dient als Referenzfassung für die inhaltliche Pflege und die Konsistenzkontrolle. Die englische Fassung stellt die Informationen vollständig und inhaltlich gleichwertig bereit.

Diese Datenschutzerklärung gilt ausschließlich für die Website curalbum.app und die dort beschriebenen Verarbeitungsvorgänge. Für die Nutzung der Android-App Curalbum gilt die gesonderte App-Datenschutzerklärung. Wird die App-Datenschutzerklärung über die Website abgerufen, ist dieser Abruf selbst eine Nutzung der Website und fällt deshalb unter diese Website-Datenschutzerklärung; die Verarbeitungsvorgänge der App und der zugehörigen Plattformdienste werden dagegen in der App-Datenschutzerklärung beschrieben.

Inhaltsübersicht

Verantwortlicher

René Böhres
Ludwig-Erhard-Straße 15
63512 Hainburg
Deutschland

E-Mail-Adresse: hello@curalbum.app

Impressum: https://curalbum.app/de/impressum.html

Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Maßgebliche Rechtsgrundlagen

Maßgebliche Rechtsgrundlagen nach der DSGVO: Im Folgenden erhalten Sie eine Übersicht der Rechtsgrundlagen der DSGVO, auf deren Basis wir personenbezogene Daten verarbeiten. Bitte nehmen Sie zur Kenntnis, dass neben den Regelungen der DSGVO nationale Datenschutzvorgaben in Ihrem bzw. unserem Wohn- oder Sitzland gelten können. Sollten ferner im Einzelfall speziellere Rechtsgrundlagen maßgeblich sein, teilen wir Ihnen diese in der Datenschutzerklärung mit.

Nationale Datenschutzregelungen in Deutschland: Zusätzlich zu den Datenschutzregelungen der DSGVO gelten nationale Regelungen zum Datenschutz in Deutschland. Hierzu gehört insbesondere das Gesetz zum Schutz vor Missbrauch personenbezogener Daten bei der Datenverarbeitung (Bundesdatenschutzgesetz – BDSG). Das BDSG enthält insbesondere Spezialregelungen zum Recht auf Auskunft, zum Recht auf Löschung, zum Widerspruchsrecht, zur Verarbeitung besonderer Kategorien personenbezogener Daten, zur Verarbeitung für andere Zwecke und zur Übermittlung sowie automatisierten Entscheidungsfindung im Einzelfall einschließlich Profiling. Ferner können Landesdatenschutzgesetze der einzelnen Bundesländer zur Anwendung gelangen.

Maßgebliche Rechtsgrundlagen nach dem Schweizer Datenschutzgesetz: Wenn Sie sich in der Schweiz befinden, bearbeiten wir Ihre Daten nach dem Bundesgesetz über den Datenschutz (Schweizer DSG). Anders als die DSGVO enthält das Schweizer DSG keinen allgemeinen Katalog von Rechtsgrundlagen, die für jede Bearbeitung von Personendaten genannt werden müssen. Die Bearbeitung muss jedoch rechtmäßig, nach Treu und Glauben und verhältnismäßig erfolgen (Art. 6 Abs. 1 und 2 DSG). Zudem werden Personendaten von uns nur zu einem bestimmten, für die betroffene Person erkennbaren Zweck beschafft und nur so bearbeitet, wie es mit diesem Zweck vereinbar ist (Art. 6 Abs. 3 DSG).

Hinweis auf Geltung DSGVO und Schweizer DSG: Diese Datenschutzhinweise dienen sowohl der Informationserteilung nach dem Schweizer DSG als auch nach der Datenschutzgrundverordnung (DSGVO). Aus diesem Grund bitten wir Sie zu beachten, dass aufgrund der breiteren räumlichen Anwendung und Verständlichkeit die Begriffe der DSGVO verwendet werden. Insbesondere statt der im Schweizer DSG verwendeten Begriffe „Bearbeitung" von „Personendaten", "überwiegendes Interesse" und "besonders schützenswerte Personendaten" werden die in der DSGVO verwendeten Begriffe „Verarbeitung" von „personenbezogenen Daten" sowie "berechtigtes Interesse" und "besondere Kategorien von Daten" verwendet. Die gesetzliche Bedeutung der Begriffe wird jedoch im Rahmen der Geltung des Schweizer DSG weiterhin nach dem Schweizer DSG bestimmt.

Allgemeine Informationen zur Datenspeicherung und Löschung

Wir löschen personenbezogene Daten, die wir verarbeiten, gemäß den gesetzlichen Bestimmungen, sobald die zugrundeliegenden Einwilligungen widerrufen werden oder keine weiteren rechtlichen Grundlagen für die Verarbeitung bestehen. Dies betrifft Fälle, in denen der ursprüngliche Verarbeitungszweck entfällt oder die Daten nicht mehr benötigt werden. Ausnahmen von dieser Regelung bestehen, wenn gesetzliche Pflichten oder besondere Interessen eine längere Aufbewahrung oder Archivierung der Daten erfordern.

Insbesondere müssen Daten, die aus handels- oder steuerrechtlichen Gründen aufbewahrt werden müssen oder deren Speicherung notwendig ist zur Rechtsverfolgung oder zum Schutz der Rechte anderer natürlicher oder juristischer Personen, entsprechend archiviert werden.

Unsere Datenschutzhinweise enthalten zusätzliche Informationen zur Aufbewahrung und Löschung von Daten, die speziell für bestimmte Verarbeitungsprozesse gelten.

Bei mehreren Angaben zur Aufbewahrungsdauer oder Löschungsfristen eines Datums, ist stets die längste Frist maßgeblich. Daten, die nicht mehr für den ursprünglich vorgesehenen Zweck, sondern aufgrund gesetzlicher Vorgaben oder anderer Gründe aufbewahrt werden, verarbeiten wir ausschließlich zu den Gründen, die ihre Aufbewahrung rechtfertigen.

Aufbewahrung und Löschung von Daten: Die folgenden allgemeinen Fristen gelten für die Aufbewahrung und Archivierung nach deutschem Recht:

Aufbewahrung und Löschung von Daten: Die folgenden allgemeinen Fristen gelten für die Aufbewahrung und Archivierung nach dem Schweizer Recht:

Rechte der betroffenen Personen

Rechte der betroffenen Personen aus der DSGVO: Ihnen stehen als Betroffene nach der DSGVO verschiedene Rechte zu, die sich insbesondere aus Art. 15 bis 21 DSGVO ergeben:

Rechte der betroffenen Personen nach dem Schweizer DSG:

Ihnen stehen als betroffene Person nach Maßgabe der Vorgaben des Schweizer DSG die folgenden Rechte zu:

Anmeldung zur einmaligen Release-Benachrichtigung

Sie können freiwillig genau eine E-Mail mit der Nachricht bestellen, dass Curalbum veröffentlicht wurde. Dabei handelt es sich weder um einen laufenden Newsletter noch um laufende Werbung. Verarbeitet werden insbesondere die in das Formular eingetragene E-Mail-Adresse als betroffene Datenkategorie, die gewählte Formularsprache beziehungsweise Quelle de oder en, die beim Absenden geltende Einwilligungsfassung sowie die für Anmeldung, Bestätigung und Status erforderlichen Zeitangaben. Die E-Mail-Adresse kann von Ihnen selbst oder von einer anderen Person eingegeben worden sein. Bei einer Fremdeintragung stammt sie mittelbar von der Person, die sie über das Release-Formular auf curalbum.app eingegeben hat. Wir kennen die Identität der eintragenden Person nicht, sofern sie nicht anderweitig aus dem konkreten Vorgang hervorgeht. Das Angebot richtet sich nach unserer Betreiberentscheidung nur an Personen ab 16 Jahren.

Mit dem informierten Absenden des Formulars willigen Sie in die Verarbeitung für diesen einmaligen Zweck ein. Anschließend senden wir eine rein funktionale Double-Opt-in-E-Mail an die angegebene Adresse. Diese funktionale E-Mail ist die erste Kommunikation mit dem betroffenen Postfach. Die Anmeldung wird erst aktiviert, wenn Sie sie ausdrücklich bestätigen; ohne Bestätigung erfolgt keine Aktivierung und keine weitere Release-Nachricht. Die Bestätigung dient dazu, die Kontrolle über das angegebene Postfach zu verifizieren und die Einwilligung zu dokumentieren. Das Double-Opt-in ist dabei unser Verifikations- und Nachweisverfahren und wird nicht als gesetzlich vorgeschriebene Form dargestellt.

Zum Schutz der Anmeldung wird die E-Mail-Adresse verschlüsselt gespeichert. Zusätzlich verwenden wir einen nicht rückrechenbaren Vergleichswert, um doppelte Einträge zu erkennen. Zum Schutz vor automatisierten oder missbräuchlich vielen Anmeldeversuchen wird aus der IP-Adresse während des jeweiligen Requests ein pseudonymer, nicht zur Rückrechnung bestimmter Wert für ein festes Zeitfenster von zehn Minuten gebildet. Die rohe IP-Adresse wird dabei nicht dauerhaft in der Curalbum-Datenbank gespeichert. Dieser Missbrauchsschutz ist ein eigener Zweck und beruht nicht auf Ihrer Einwilligung in die Release-Nachricht.

Nicht bestätigte Anmeldungen bleiben höchstens 72 Stunden gültig und werden danach gelöscht. Bestätigungsinformationen werden nur bis zur Bestätigung oder bis zum Ablauf vorgehalten; zeitlich begrenzte Abmeldeinformationen bleiben bis zur Abmeldung oder bis zum Abschluss des einmaligen Versands erforderlich. Nach der Bestätigung speichern wir die verschlüsselte E-Mail-Adresse, den Vergleichswert, Quelle, Einwilligungsfassung sowie Erstellungs-, Bestätigungs- und Statusangaben nur bis zur Abmeldung oder zum einmaligen Release. Über den Abmeldelink können Sie sich vor dem Release jederzeit kostenlos abmelden; dadurch wird der Datensatz vollständig gelöscht und keine Widerrufshistorie angelegt.

Für Datenbank und E-Mail-Versand nutzen wir ALL-INKL in Deutschland als Auftragsverarbeiter. Die funktionale Bestätigungs-E-Mail und später die einmalige Release-Nachricht werden an das von Ihnen gewählte Postfach und dessen Mailserver zugestellt. Die Release-Nachricht geht ausschließlich an zuvor bestätigte Adressen. Beim manuellen Versand verwenden wir das BCC-Feld, damit andere Empfängerinnen und Empfänger die Adressen der übrigen Angeschriebenen nicht sehen. Unmittelbar nach diesem einmaligen Versand löschen wir die Exportdatei, die Versandkopie und die bestätigten Datensätze. Wir führen weder eine Sperrliste noch eine dauerhafte personenbezogene Einwilligungs- oder Versandnachweisdatenbank.

Für Personen im Anwendungsbereich der DSGVO beruht die Verarbeitung für Bestellung und Versand auf Ihrer Einwilligung nach Art. 6 Abs. 1 Buchst. a und Art. 7 DSGVO; für die einmalige Werbe-E-Mail gelten außerdem die Anforderungen des § 7 UWG und des Art. 13 der Richtlinie 2002/58/EG. Die Bestätigungs- und Statusangaben dienen dem begrenzten Nachweis der Einwilligung. Der Schutz vor missbräuchlichen Anmeldeversuchen wird davon getrennt auf unser berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO gestützt, die Funktion und Sicherheit des Angebots zu schützen. Der Widerruf wirkt für die Zukunft und berührt die Rechtmäßigkeit der Verarbeitung bis zum Widerruf nicht.

Für Personen in der Schweiz übertragen wir den Rechtsgrundlagenkatalog des Art. 6 DSGVO nicht auf das Schweizer System. Maßgeblich sind insbesondere die Bearbeitungsgrundsätze und die Anforderungen an eine freiwillige und informierte Einwilligung nach Art. 6 DSG sowie für die Release-Nachricht Art. 3 Abs. 1 Buchst. o UWG. Das Double-Opt-in bleibt auch hier ein gewähltes Nachweis- und Schutzverfahren, keine gesetzlich vorgeschriebene Form. Nach schweizerischem Recht richtet sich die Einwilligungsfähigkeit Minderjähriger nach ihrer Urteilsfähigkeit; die Altersgrenze von 16 Jahren ist unsere strengere Betreiberregel und keine pauschale gesetzliche Altersgrenze.

Bereitstellung der Website, Hosting und lokale Browserfunktionen

Wir stellen curalbum.app einschließlich der lokal eingebundenen Inhalte über Webspace bei ALL-INKL in Deutschland bereit. Aufrufe von curalbum.de und curalbum.com werden auf curalbum.app weitergeleitet. Bei einem Abruf fallen die für Auslieferung und Weiterleitung technisch erforderlichen Requestdaten an, insbesondere IP-Adresse, Zeitpunkt, aufgerufener Host und Pfad, gegebenenfalls die Query, mitgesendete Protokoll- und Headerdaten sowie der Antwortstatus. Der angeforderte Pfad kann dabei insbesondere /de/ oder /en/ enthalten. ALL-INKL verarbeitet diese Daten für uns als Auftragsverarbeiter. Soweit für die Websitevorgänge erforderlich, nutzen wir dort außerdem SQLite und E-Mail-Infrastruktur.

Beim ersten Aufruf der Rootseite wertet Ihr Browser lokal navigator.languages beziehungsweise ersatzweise navigator.language aus. Bei einer deutschen Browsersprache wird zunächst die deutsche Fassung unter /de/, andernfalls die englische Fassung unter /en/ aufgerufen. Die Browser-Sprachenliste selbst wird von Curalbum nicht als eigenes Feld an den Server übermittelt; beim anschließenden Seitenabruf ist jedoch der daraus gewählte Sprachpfad für uns und ALL-INKL sichtbar. Sie können die Sprache jederzeit über die normalen Sprachlinks wechseln. Dieser manuelle Wechsel wird nicht gespeichert, und Curalbum legt keine dauerhafte Sprachpräferenz an.

Die Browser- beziehungsweise Betriebssystemeinstellung prefers-reduced-motion wird ebenfalls nur lokal ausgewertet, um Bewegungs- und Übergangseffekte anzupassen. Curalbum speichert weder diese Präferenz noch die Sprachpräferenz persistent. Nach dem bestätigten technischen Stand setzen wir für diese Funktionen keine Cookies ein und verwenden auf der Website keine Analytics-, Tracking- oder Werbedienste. Es werden außerdem keine externen Schriftarten, Content-Delivery-Networks oder sonstigen Fremdressourcen automatisch eingebunden. Diese Aussage betrifft die von Curalbum gesteuerten Funktionen und schließt gewöhnliche Browser- oder HTTP-Caches nicht pauschal aus.

Die Curalbum-Anwendung führt keine gesonderte dauerhafte Speicherung der gewöhnlichen Abrufdaten. Die von uns steuerbaren Zugriffsstatistiken und Zugriffsprotokolle beim Hosting sind deaktiviert. Wir behaupten damit keine vollständige Logfreiheit der internen ALL-INKL-Infrastruktur. Soweit dort aus zwingenden technischen Gründen vorübergehende Datenreste entstehen, nennen wir mangels bestätigter Einzelheiten weder bestimmte Datenfelder noch eine feste Speicherfrist. Löschung und Begrenzung richten sich insoweit nach dem jeweiligen technischen Zweck und den anwendbaren gesetzlichen Anforderungen.

Für Personen im Anwendungsbereich der DSGVO beruht die technisch erforderliche Bereitstellung, Weiterleitung und Absicherung der Website auf unserem berechtigten Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO, die Website zuverlässig, sicher und in der angeforderten Sprachfassung auszuliefern. Die lokale Sprachauswertung und Reduced-Motion-Auswertung erzeugen keine von Curalbum gesteuerte persistente Endgerätespeicherung; die lokalen Rohwerte sind vom anschließenden, serverseitig sichtbaren Sprachpfad zu unterscheiden.

Für Personen in der Schweiz übertragen wir den Rechtsgrundlagenkatalog des Art. 6 DSGVO nicht auf das Schweizer System. Es gelten die Bearbeitungsgrundsätze des Art. 6 DSG und, soweit eine Rechtfertigung erforderlich ist, insbesondere das überwiegende private Interesse an der zuverlässigen und sicheren Websitebereitstellung nach Art. 31 DSG. Die lokale Browserauswertung und der sichtbare Sprachpfad werden zusätzlich nach Art. 45c Buchst. b FMG und dem Schweizer DSG eingeordnet. Die Curalbum-seitige Verarbeitung bei ALL-INKL findet in Deutschland statt; Deutschland gilt nach dem Schweizer Datenschutzrecht als Staat mit angemessenem Datenschutz.

Änderung und Aktualisierung

Wir bitten Sie, sich regelmäßig über den Inhalt unserer Datenschutzerklärung zu informieren. Wir passen die Datenschutzerklärung an, sobald die Änderungen der von uns durchgeführten Datenverarbeitungen dies erforderlich machen. Wir informieren Sie, sobald durch die Änderungen eine Mitwirkungshandlung Ihrerseits (z. B. Einwilligung) oder eine sonstige individuelle Benachrichtigung erforderlich wird.

Sofern wir in dieser Datenschutzerklärung Adressen und Kontaktinformationen von Unternehmen und Organisationen angeben, bitten wir zu beachten, dass die Adressen sich über die Zeit ändern können und bitten die Angaben vor Kontaktaufnahme zu prüfen.

Für uns zuständige Aufsichtsbehörde:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Wilhelmstraße 7
65185 Wiesbaden

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern, Schweiz

Kontaktaufnahme per E-Mail, Telefon oder Post

Sie können freiwillig per E-Mail an hello@curalbum.app, telefonisch oder per Post Kontakt mit uns aufnehmen. Ein allgemeines Kontaktformular bieten wir nicht an. Wir verarbeiten die Daten, die Sie uns selbst mit Ihrer Anfrage mitteilen. Bei E-Mails sind dies insbesondere Absender- und Empfängeradresse, Betreff, Inhalt, Sende- und Empfangszeit sowie freiwillig mitgesandte Namen, Rückrufdaten oder Anhänge. Bei Telefonaten fallen die übermittelte Rufnummer, der Zeitpunkt, ein mitgeteilter Name und der Gesprächsinhalt nur an, soweit sie im Gespräch mitgeteilt werden. Bei Postsendungen verarbeiten wir Absender- und Rücksendeangaben, Briefinhalt und freiwillige Beilagen. Kontaktanfragen können außerdem Angaben über andere Personen enthalten. Quelle solcher mittelbar beschafften Angaben ist die kontaktierende Person beziehungsweise ihre E-Mail, ihr Telefonat oder ihre Postsendung. Die Kategorien können insbesondere Namen, Kontaktdaten und sonstige Informationen über die genannte Person im Nachrichteninhalt oder in freiwilligen Anlagen umfassen. Besondere Kategorien personenbezogener Daten erheben wir dabei weder regelmäßig noch gezielt.

Wir verwenden diese Angaben, um Ihr Anliegen zu bearbeiten, Rückfragen zu klären und Ihnen zu antworten. Angaben über genannte Dritte werden nicht gesondert kopiert, zweckfremd genutzt oder ohne sachlichen Anlass für eine Kontaktaufnahme verwendet. Nicht erforderliche Drittpersonendaten werden nicht weiterverwendet und nach den nachstehend beschriebenen Kriterien mit der Anfrage gelöscht. E-Mails werden im zugehörigen ALL-INKL-Postfach in Deutschland gespeichert und über dessen Webinterface bearbeitet; ALL-INKL handelt dabei als unser Auftragsverarbeiter.

Für Personen im Anwendungsbereich der DSGVO richtet sich die Rechtsgrundlage nach dem tatsächlichen Zweck der Anfrage. Allgemeine Fragen und Support bearbeiten wir auf Grundlage unseres berechtigten Interesses an der Kommunikation und Beantwortung nach Art. 6 Abs. 1 Buchst. f DSGVO. Art. 6 Abs. 1 Buchst. b DSGVO gilt nur, soweit Sie vorvertragliche Maßnahmen anfragen oder die Kommunikation für einen Vertrag erforderlich ist. Art. 6 Abs. 1 Buchst. c DSGVO gilt nur bei einer konkret einschlägigen gesetzlichen Pflicht. Soweit eine Speicherung zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche erforderlich ist, stützen wir sie auf Art. 6 Abs. 1 Buchst. f DSGVO. Vor einer eigenständigen Kontaktaufnahme mit einer genannten Person, einer Offenlegung oder einer anderen eigenständigen Weiterverarbeitung prüfen wir Informationszeitpunkt und -inhalt nach Art. 14 DSGVO. Die Informationen werden grundsätzlich innerhalb einer angemessenen Frist, längstens jedoch innerhalb eines Monats erteilt, bei einer Kommunikation spätestens mit der ersten Mitteilung und bei einer Offenlegung spätestens mit der ersten Offenlegung. Eine Ausnahme nach Art. 14 Abs. 5 DSGVO nehmen wir nicht pauschal an, sondern prüfen und dokumentieren sie anhand des konkreten Falls.

Für Personen in der Schweiz übertragen wir diese DSGVO-Rechtsgrundlagen nicht auf das Schweizer System. Maßgeblich sind die Bearbeitungsgrundsätze des Art. 6 DSG und, soweit eine Rechtfertigung erforderlich ist, Art. 31 DSG, insbesondere eine Einwilligung, ein überwiegendes privates Interesse oder eine gesetzliche Grundlage. Bei indirekter Beschaffung teilen wir nach Art. 19 Abs. 3 DSG zusätzlich die Kategorien der bearbeiteten Personendaten mit. Die Informationen nach Art. 19 Abs. 2–4 DSG werden nach Art. 19 Abs. 5 DSG grundsätzlich spätestens einen Monat nach Beschaffung mitgeteilt; werden die Daten vorher bekanntgegeben, informieren wir spätestens im Zeitpunkt der Bekanntgabe. Die Ausnahmen des Art. 20 DSG legen wir eng aus und wenden sie nur nach Prüfung und Dokumentation des konkreten Falls an. Für die Bearbeitung von Kontakt-E-Mails ist ALL-INKL Auftragsbearbeiter nach Art. 9 DSG; die Bearbeitung findet in Deutschland statt.

Gewöhnliche Anfragen löschen wir nach sachlicher Erledigung, sobald kein weiterer Rückfragebedarf mehr zu erwarten ist. Eine längere Aufbewahrung erfolgt nur, wenn der konkrete Inhalt tatsächlich einer gesetzlichen Aufbewahrungspflicht unterliegt oder für die Sicherung konkreter Ansprüche beziehungsweise Beweise erforderlich ist. Wir bewahren daher nicht jede Kontaktaufnahme pauschal für sechs, acht oder zehn Jahre auf und leiten aus gesetzlichen Verjährungsfristen keine automatische Speicherfrist für sämtliche Kontakte ab. Wir behaupten nicht, dass einzelne Drittpersonendaten technisch sofort aus einer bereits empfangenen E-Mail entfernt werden können; bis zur Löschung der Anfrage werden nicht erforderliche Angaben nicht weiterverwendet. Die fachliche Löschung aus dem Postfach wird nicht mit einer unbelegten vollständigen Löschung möglicher interner technischer Reste bei ALL-INKL gleichgesetzt; für solche nicht bestätigten Providerdetails nennen wir keine feste Frist.